Red Hat 同 IBM 聯手出擊：asago 開源項目自動化 AI 管治，Lightwell 免費開放畀大學同 NGO

工作流程

呢個項目提供一個 自動化、可審計嘅工作流程，將工程同合規團隊之間碎片化嘅步驟連埋一齊 。成個過程通常包括：

• 讀取上載嘅 AI 管治政策文件
• 透過 IBM AI Risk Atlas 將政策條款對應到公認嘅風險框架（例如 NIST AI RMF、OWASP LLM Top 10、歐盟 AI 法案）
• 針對識別到嘅風險生成安全測試
• 建議緩解措施
• 將建議轉化為 可以直接部署嘅設定檔，適用於 Kubernetes、Terraform 同 Ansible 等工具

每一步都會產生可記錄嘅審計線索，將政策條款同特定測試或運行時控制連埋一齊，令審查人員可以追溯返一個實際嘅安全措施係由邊條規則而嚟 。Red Hat 話呢個項目目標係將部署周期由幾個月縮短到幾日 。

對應標準

呢個項目明確對應 NIST AI RMF（風險管理框架）、OWASP LLM Top 10 同 歐盟 AI 法案 。

創始合作夥伴

創始聯盟包括 ：

• Red Hat（主導）
• IBM Research
• Microsoft
• NVIDIA
• MIT Lincoln Laboratory
• 北卡羅來納州立大學
• 艾倫圖靈研究所
• Alquimia AI
• Brave Software
• EvalEval 聯盟
• 奧地利跨學科轉型大學

預計仲會有更多組織加入。

授權方式

asago 採用 Apache 2.0 開源授權 。項目程式碼已經放上 GitHub，處於組建階段，開發者、學術研究人員同企業早期採用者都可以睇 。

大學同 NGO 免費使用 Lightwell

公布內容

喺 2026 年 8 月 4 日，IBM 同 Red Hat 宣布 合資格嘅大學、NGO 同智庫 可以 免費使用 Lightwell——呢個係一個用 AI 嚟發現、驗證同修復開源軟件漏洞嘅平台 。合資格機構由 2026 年 8 月開始可以即刻加入 。

點樣運作

• Lightwell 使用一個 生成式 AI 驅動嘅修復引擎，配合 IBM 同 Red Hat 嘅工程師 。
• 系統會識別有漏洞嘅依賴組件，開發建議嘅修復方案，再做技術驗證 。
• 參與機構 保留對機密資料嘅控制權——Lightwell 喺機構現有環境內運作，唔需要存取專有原始碼、研究資料或私人數據 。
• 呢個計劃採用 「上游優先」方針：修正會提交俾原開源社群審查，等所有用家都受惠 。

參與機構得到咩

• 經驗證嘅開源軟件漏洞修復
• 數碼簽署嘅原始碼同軟件二進制檔
• 軟件物料清單（SBOM）
• 合規文件
• 專為 已經喺生產環境運行嘅軟件版本 而設嘅修復（對無法立即升級嘅機構好重要）

規模同覆蓋

• Lightwell 提供嘅經驗證同修復套件版本數量，由 大約 6,500 個增加到超過 8,000 個，包括 64 個之前未公開嘅漏洞 嘅修正 。
• 免費計劃最初涵蓋 美國超過 185 間研究型大學同 100 間 NGO 同智庫 。

大環境：推動呢啲項目嘅 AI 安全挑戰

呢兩個公布都係針對 AI 時代一系列相關嘅結構性風險：

• AI 系統對開源組件嘅依賴風險：現代 AI 軟件堆疊好依賴開源套件，而呢啲套件嘅漏洞可以被 AI 驅動嘅攻擊者大規模利用 。
• 政策同工程之間嘅 gap：機構好難將廣泛嘅 AI 原則（例如歐盟 AI 法案入面嗰啲）變成工程師可以部署、審計員可以驗證嘅操作控制。asago 就係直接回應呢個碎片化問題 。
• 公共利益機構資源不足：大學同 NGO 通常缺乏網絡安全人手同預算去保護佢哋嘅開源依賴，令佢哋容易受到攻擊 。
• AI 驅動嘅威脅：幫防禦者更快識別弱點嘅 AI 能力，同樣可以幫攻擊者發現同利用有漏洞嘅系統 。

Red Hat 嘅 AI 工程副總裁 Steven Huels 咁樣形容個挑戰：「隨住機構由實驗性嘅 AI 試點過渡到長期運行、自主嘅 AI 代理，建立清晰嘅操作護欄就變成一項關鍵嘅基礎設施需求」。

呢啲公布係建基於 2026 年 5 月宣布嘅 50 億美元 Project Lightwell 承諾 、Open Secure AI Alliance（由 NVIDIA 發起，Red Hat 係創始成員），以及業界普遍嘅共識：「冇一個組織可以單獨應對 AI 安全同保安嘅挑戰」（Sarah Bird，Microsoft）。